BIND lori VPN: ìfiránṣẹ́ onídíẹ̀ tàbí agbègbè stub?

Resolver ọ́fíìsì rẹ ń dáhùn gbogbo nǹkan àyàfi ibi orúkọ àjọ kan, àti pé DNS server àjọ tí ó mọ̀ ọ́ wà lẹ́yìn VPN. BIND lè fi agbègbè kan náà fún upstream ní ọ̀nà mẹ́ta ọ̀tọ̀ọ̀tọ̀, wọ́n sì kùnà ní ọ̀nà ọ̀tọ̀ọ̀tọ̀. Ìfiránṣẹ́ onídíẹ̀ ni ìdánilójú tí ó kéré jù, agbègbè stub ń pa dátà ìdásí mọ́, secondary sì ń pa ẹ̀dà kíkún mọ́. Yan ní ìbámu pẹ̀lú ohun tí upstream yóò gbà àti ohun tí o fẹ́ kí resolver rẹ pa mọ́, kì í ṣe ní ìbámu pẹ̀lú snippet tí o rí ní àkọ́kọ́.

Ìṣètò mẹ́ta fún ibi orúkọ kan

Ìfiránṣẹ́ onídíẹ̀: ìdánilójú tí ó kéré jù

Rò pé resolver ọ́fíìsì wà ní 192.168.10.53, server àjọ sì wà ní 10.40.0.53 tí a lè dé ọ̀dọ̀ rẹ̀ nípasẹ̀ tunnel tí a fọwọ́ sí. Ìkéde jẹ́ ìlà mẹ́ta, èyí tí ó du ẹni lórí ni forward only, nítorí pé ó ń yí ìhùwàsí ìkùnà padà, kì í ṣe ọ̀nà.

zone "corp.example" {
    type forward;
    forward only;
    forwarders { 10.40.0.53; };
};

Pẹ̀lú forward only, upstream tí a kò lè dé ọ̀dọ̀ rẹ̀ ń pèsè SERVFAIL fún agbègbè yìí dípò padà sí ojútùú àtúnṣe. Èyí ni ohun tí o máa ń fẹ́ fún ibi orúkọ aládàáni, nítorí pé pípada yóò fi àwọn orúkọ aládàáni ránṣẹ́ sí resolver gbogbogbò yóò sì mú ìdáhùn àìníláárí wá láti internet. Ìwé ìtọ́kasí BIND ń ṣàpèjúwe àwọn ìlànà méjèèjì, ìyàtọ̀ sì ṣe pàtàkì ju bí snippet ṣe dábàá. Darapọ̀ agbègbè náà mọ́ ìṣètò tí ó wà tẹ́lẹ̀ dípò rírọ́pò agbègbè tí ó ti wà fún orúkọ kan náà.

Stub tàbí secondary: nígbà tí ìdásí ṣe pàtàkì

Agbègbè stub ń béèrè lọ́wọ́ server àjọ fún àwọn àkọsílẹ̀ NS agbègbè náà, lẹ́yìn náà ó ń béèrè lọ́wọ́ àwọn server aláṣẹ ní tààràtà. Yan ó nígbà tí ẹkùn upstream bá tóbi tàbí tí a pín, tí o sì fẹ́ kí resolver rẹ tẹ̀lé ìdásí dípò kíkàn gbogbo nǹkan mọ́ àdírẹ́sì kan. Iye ni ìgbẹ́kẹ̀lé pé dátà NS wà ní ìgbà tuntun, àti pé gbogbo server orúkọ tí a tò lẹ́sẹẹsẹ lè dé ọ̀dọ̀ rẹ̀ láti àdírẹ́sì orísun resolver rẹ.

zone "corp.example" {
    type stub;
    masters { 10.40.0.53; };
};

zone "corp.example" {
    type secondary;
    primaries { 10.40.0.53; };
    file "corp.example.db";
};

Secondary ń dáhùn láti dátà àdúgbò ó sì ń ye ìdádúró upstream, ìdí nìyẹn láti gba ìgbẹ́kẹ̀lé gbígbé. Ó tún túmọ̀ sí pé resolver rẹ ń pa ẹ̀dà agbègbè tí kì í ṣe tirẹ̀ mọ́, nítorí náà ọ̀nà fáìlì, ACL gbígbé lórí primary àti àwọn aago ìmúdọ̀tun di apá kan ojú-iṣẹ́ iṣẹ́ rẹ.

Àyẹ̀wò tí ó ń pinnu láàrin wọ́n

BIND ń dá ìbéèrè jáde tirẹ̀ fúnra rẹ̀, nítorí náà ìbéèrè kì í ṣe bóyá kọ̀mpútà gbé kékèé lè dé 10.40.0.53, ṣùgbọ́n bóyá host resolver lè dé, láti àdírẹ́sì orísun tí server àjọ yóò rí. Béèrè lọ́wọ́ kernel, lẹ́yìn náà béèrè lọ́wọ́ server, ní ìtẹ̀léra yẹn.

ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.example

Gbà UDP àti TCP láàyè lórí ọ̀nà: ìdáhùn tí a gé ń fipá mú TCP, ìlànà tí ó gbà UDP nìkan sì ń mú àwọn ìkùnà àárọ̀-ọ̀sán tí ó dàbí àdánù packet. Ẹ̀gbẹ́ àjọ nílò ìlànà ìgbàwọlé fún orísun resolver rẹ àti ọ̀nà ìpadà sí ibẹ̀; orísun yẹn lè jẹ́ àdírẹ́sì tí a tọ́ ọ̀nà resolver tàbí èyí tí a túmọ̀ ní gbangba, kì í sì í ṣe àdírẹ́sì adágún oníbàárà ní ọ̀pọ̀ ìgbà. Tí ìbéèrè NS bá kùnà, agbègbè stub kò lè ṣiṣẹ́, bí agbègbè forward yóò ti wù kó ṣe.

Ẹ̀rí ìdáhùn, kì í ṣe tunnel

Béèrè nípasẹ̀ resolver ọ́fíìsì fún orúkọ tí o kò béèrè rẹ̀ rí, kí o sì wo apá authority ìdáhùn láti mọ̀ bóyá ó ti agbègbè àjọ wá. Ìdáhùn tí ó wà nínú cache kò fi nǹkan kan hàn nípa ọ̀nà lọ́wọ́lọ́wọ́, ìbéèrè tààràtà tí ó yọrísí sí upstream kò sì fi hàn pé resolver rẹ yan agbègbè yẹn. Tún ìbéèrè kan náà ṣe lórí TCP láti fi dá ọ̀nà náà lójú pé ó ń ye gígé.

Pa àwọn oníbàárà mọ́ ní ìfọkànsí sí resolver ọ́fíìsì, kí o sì pa ìjẹ́rìí DNSSEC mọ́ ní ṣíṣí. Aṣàwákiri tí a ṣètò pẹ̀lú resolver ẹ̀rọ ìsòwọ́kọ̀ọ́ àdáṣe ń forí gbogbo ìṣètò yìí, pípa ìjẹ́rìí dúró kí ìdáhùn àìròtẹ́lẹ̀ lè dàbí ẹni tí ó tọ́ ń pààrọ̀ ìkùnà tí a rí pẹ̀lú èyí tí a kò rí.

Kọ ẹ̀yà wo nínú mẹ́ta tí o yàn àti ìdí. Ẹni tí yóò tẹ̀le tí yóò rí agbègbè tí ó kùnà yóò nílò gbólóhùn yẹn ju fáìlì ìṣètò lọ.